Zelený zámeček v adresním řádku a jeho politické háčky

Vidíte ho každý den – malý zelený zámeček vedle webové adresy. Ten symbol znamená, že důvěřujete certifikační autoritě, že stránka, kterou prohlížíte, je skutečně tím, za co se vydává. Pro většinu internetu dnes tuto důvěryhodnou třetí stranu zastupuje jedna jediná organizace: Let's Encrypt.

Revoluce ve světě certifikátů

V roce 2014 přišel Let's Encrypt s nápadem, který obrátil SSL certifikáty vzhůru nohama. HTTPS měl být najednou zdarma a plně automatizovaný. Dřív to bylo jinak – složité ověřovací procesy, poplatky v řádu stovek dolarů ročně a ruční obnova certifikátů. Pro menší vývojáře a startupy to byla pořádná překážka.

Let's Encrypt to celé změnil. Automatizoval celý životní cyklus certifikátu a zrušil poplatky. Webové zabezpečení se přesunulo z kategorie luxusního zboží do kategorie standardního vybavení. Dnes spustíte HTTPS web během několika minut a nemusíte investovat ani korunu do certifikátů. Tohle je skutečná demokratizace internetu.

Problém padesáti dvou procent

Tady ale přichází kámen úrazu. Podle dat z Cloudflare transparency dashboard vydává Let's Encrypt víc než polovinu všech webových certifikátů. Někteří uživatelé dokonce uvádějí, že skoro polovina stránek, které denně navštěvují, používá právě tyto certifikáty.

Taková koncentrace je problematická, když vezmete v potaz nedávnou změnu v podmínkách Let's Encrypt. Organizace nyní výslovně začleňuje americké sankční předpisy do svých podmínek služby. To znamená, že subjekty aktuálně pod americkými sankcemi – ať už jednotlivci, organizace nebo celé státy – nemohou od Let's Encrypt certifikáty získat. Prakticky to pro ně znamená nemožnost zajistit si legální HTTPS ochranu.

Proč by vás to mělo zajímat?

Možná si říkáte: „Já pod sankcemi nejsem, takže se mě to netýká." To je logický postoj, ale ztrácíte přehled o širších souvislostech.

Když jedna jediná organizace podléhající právnímu řádu jedné země kontroluje většinu webové bezpečnostní infrastruktury, vzniká problém geopolitického úzkého hrdla. Zámeček v prohlížeči – symbol důvěry, bezpečnosti a šifrované komunikace – najednou závisí na dodržování zákonů konkrétního státu. Nejde o hypotetický scénář; už teď to dopadá na reálné organizace a konkrétní lidi.

Pro vývojáře, kteří staví produkty pro globální publikum, představuje tato koncentrace technickou závislost i geopolitické riziko. Co se stane, když se požadavky na compliance rozšíří? Co když další jurisdikce začnou požadovat podobné pravomoci? V podstatě svěřujeme kritickou internetovou infrastrukturu do rukou zahraniční politiky jedné vlády.

Cesta vpřed

To neznamená, že je Let's Encrypt nějaký záporák nebo že byste měli opustit HTTPS. Služba pořád nabízí skutečnou hodnotu a tým za ní odvedl skvělou práci v oblasti zpřístupnění zabezpečení webu.

Ale povědomí o problému je důležité. Diversifikace je důležitá. Ekosystém certifikačních autorit potřebuje zdravou konkurenci a geograficky rozloženou důvěru. Organizace jako Cloudflare, Google Trust Services a regionální autority hrají významnou roli, ale žádná z nich se Let's Encrypt svým rozsahem nevyrovná.

Pokud navrhujete systémy pro globální publikum, zamyslete se nad tím, které autority vaše certifikáty vydávají. Zdokumentujte si závislosti. Mějte záložní plány. Zámeček v prohlížeči může působit jako maličkost, ale stojí na infrastruktuře s reálnými politickými dopady. A to stojí za to pochopit.

Bezpečnost webu by neměla záviset na jediném bodu kontroly – ať už jde o korporaci, vládu nebo neziskovku. Jako tvůrci internetu máme odpovědnost kriticky myslet o těchto závislostech, i když jsou zabalené v útulné důvěryhodnosti zeleného zámečku.